Ataque de negação de serviço por reflexão amplificada : explorando o protocolo Domain Name System para a detecção e identificação de refletores

Abstract

O avanço da tecnologia permitiu o aumento de serviços automatizados na Internet, gerando a necessidade de confiabilidade em sistemas computacionais. O grande número de servidores tornou possível o surgimento de novas vulnerabilidades, e consequentemente, novos formatos de ataque surgiram, compromentendo a segurança de servidores e de consumidores. Um dos ataques mais recorrentes é conhecido como Ataque de Negação de Serviço, ou Distributed Denial of Service (DDoS), que possui como principal objetivo dificultar, ou até mesmo impedir a comunicação entre clientes e servidores. Existe também uma outra abordagem que abusa do protocolo User Datagram Protocol (UDP) e do processamento de servidores legítimos, que são utilizados como intermediários para a realização do ataque, atuando como refletores. Dentro da comunidade científica, há uma série de problemas a serem considerados para a construção de novas mitigações do ataque. Porém, é indiscutível, para tanto, a necessidade de estudá-los, devido aos prejuízos que a indisponibilidade de serviço gera em grandes corporações. Da mesma forma que os ataques acompanham a evolução das soluções, a comunidade de segurança acompanha a evolução desses ataques. Este trabalho propõe uma ferramenta que realize a detecção e a identificação de refletores, principais agentes em ataques de negação de serviço por reflexão amplificada. Para a realização da detecção, os métodos utilizados até o momento consideram apenas a análise de pacotes referentes ao protocolo Domain Name System (DNS). Uma série de testes foi realizada em conjunto à pesquisa de [1] realizada na Universidade de Brasília, que permitiram analisar a eficiência da detecção do refletor em diversos níveis de dificuldade, com métrica de quantidade de pacotes por segundo. Para tanto, a ferramenta, que inserida em determinada estrutura, permitiu detectar e identificar o refletor, bloqueando-o de maneira estratégica; fornecendo caminhos alternativos para reestabelecer uma comunicação entre o servidor e clientes.